Gestione di utenti, ruoli e privilegi

L'utente admin

Quando esegui il provisioning di una nuova distribuzione in IBM Cloud, ti viene automaticamente fornito un utente admin per accedere e gestire PostgreSQL. Una volta impostata la password amministratore, utilizzarla per connettersi alla tua distribuzione.

Quando admin crea una risorsa in un database, come una tabella, admin possiede tale oggetto. Le risorse create da admin non sono accessibili da altri utenti, a meno che non si concedano espressamente le autorizzazioni.

La differenza maggiore tra l'utente admin e qualsiasi altro utente che aggiungi alla tua distribuzione è rappresentata dai ruoli pg_monitor e pg_signal_backend. Il ruolo pg_monitor fornisce una serie di autorizzazioni che rendono l'utente amministratore appropriato per il monitoraggio del server di database. Il ruolo pg_signal_backend fornisce all'utente amministratore la possibilità di inviare segnali per annullare query e connessioni avviate da altri utenti. Non è in grado di inviare segnali ai processi di proprietà dei superutenti.

È anche possibile utilizzare l'utente admin per concedere questi due ruoli ad altri utenti nella distribuzione.

Per esporre la capacità di annullare query ad altri utenti del database, concedi il ruolo pg_signal_backend all'utente admin. Utilizzare un comando come:

GRANT pg_signal_backend TO joe;

Per consentire all'utente joe di annullare i backend, concedi pg_signal_backend a tutti gli utenti con il ruolo ibm-cloud-base-user con un comando come:

GRANT pg_signal_backend TO "ibm-cloud-base-user";

Questo privilegio consente all'utente o agli utenti di terminare qualsiasi connessione al database.

Per impostare un utente di monitoraggio specifico, mary, utilizzare un comando come:

GRANT pg_monitor TO mary;

Concedi pg_signal_backend a tutti gli utenti con il ruolo ibm-cloud-base-user con un comando come:

GRANT pg_monitor TO "ibm-cloud-base-user";

ibmcloud cdb user-password example-deployment admin <NEW_PASSWORD>

curl -X PATCH `https://api.{region}.databases.cloud.ibm.com/v5/ibm/deployments/{id}/users/admin` \
-H `Authorization: Bearer <>` \
-H `Content-Type: application/json` \
-d `{"password":"newrootpasswordsupersecure21"}` \

Credenziale di servizio utenti

Gli utenti che creare attraverso il pannello Credenziali di servizio sono membri di ibm-cloud-base-user. Sono in grado di accedere, creare utenti e creare database.

Quando un utente in un gruppo crea una risorsa in un database, come una tabella, tutti gli utenti che si trovano nello stesso gruppo hanno accesso a tale risorsa. Le risorse create da uno qualsiasi degli utenti in ibm-cloud-base-user sono accessibili ad altri utenti in ibm-cloud-base-user, incluso l'utente amministratore.

L'utente di sola lettura

ibm-cloud-base-user-ro gestisce i privilegi per gli utenti creati per accedere alle replica di sola lettura. Per ulteriori informazioni, vedere Configurazione delle repliche di sola lettura.

L'utente repl

L'utente repl dispone dei privilegi di replica e viene utilizzato se si abilita il plug-in wal2json sulla propria distribuzione. Mentre si abilita wal2json, impostare la password dell'utente repl, che consente al plugin wal2json di utilizzarla.

Altri utenti ibm

Se esegui il comando \du con il tuo account admin, potresti notare che gli utenti sono denominati ibm, ibm-cloud-base-user, ibm-replication e ibm-rewind.

ibm-cloud-base-user viene utilizzato come modello per gestire i ruoli gruppo per altri utenti. Viene utilizzato per gestire gli utenti creati tramite la CLI e l'API e per abilitare l'integrazione con la creazione utente Credenziali del servizio su IBM Cloud. Un utente che è un membro di ibm-cloud-base-user eredita il ruolo di creazione e crea gli attributi del database da ibm-cloud-base-user. ibm-cloud-base-user non è in grado di accedere.

L'account ibm è l'unico superutente nella distribuzione. Non è possibile utilizzare un account di superutente. Questo utente è un account amministrativo interno che gestisce la stabilità della tua distribuzione.

Utenti creati con psql

Puoi ignorare completamente la creazione di utenti tramite IBM Cloud e creare utenti direttamente in PostgreSQL con psql. Ciò consente di utilizzare PostgreSQL's di ruoli e utenti. Gli utenti/ruoli creati in psql devono avere tutti i relativi privilegi impostati manualmente, nonché i privilegi per gli oggetti creati.

Gli utenti creati direttamente in PostgreSQL non appaiono in Credenziali di servizio, ma è possibile aggiungerli se si desidera.

Si noti che questi utenti non sono integrati con i controlli IAM, anche se aggiunti a Credenziali di servizio.

Utenti aggiuntivi e stringhe di connessione

L'accesso alla tua distribuzione Databases for PostgreSQL non si limita all'utente admin. Aggiungere gli utenti nell'interfaccia utente in Credenziali del servizio, con il Cloud Databases CLI plug-in, o con l'Cloud Databases API.

Tutti gli utenti della tua distribuzione possono utilizzare le stringhe di connessione, incluse le stringhe di connessione per endpoint pubblici o privati.

Quando si crea un utente, gli vengono assegnati determinati ruoli e privilegi del database. Questi privilegi includono la capacità di accedere, creare database e creare altri utenti.

ibmcloud cdb user-create example-deployment <NEW_USER_NAME> <NEW_PASSWORD>

curl -X POST 'https://api.{region}.databases.cloud.ibm.com/v4/ibm/deployments/{id}/users' \
-H "Authorization: Bearer $APIKEY" \
-H "Content-Type: application/json" \
-d '{"username":"jane_smith", "password":"newsupersecurepassword"}'